W popularnej bibliotece Pillow do obsługi obrazów w Pythonie odkryto poważną lukę bezpieczeństwa (CVE-2026-112900), która pozwala na zdalne wykonanie kodu poprzez spreparowanie nazwy pliku EPS. Podatność polega na tym, że biblioteka przekazuje nazwę pliku do programu Ghostscript bez wcześniejszego sprawdzenia, co może umożliwić atakującemu wykonanie dowolnych poleceń systemowych. Naprawiono ją w wersji 13.0.0. Oprócz tego, opisano inne luki w obsługiwanych formatach JPEG i TIFF, z których część również pozwala na wykonanie kodu, jeśli zainstalowane są dodatkowe pakiety lub występują specyficzne warunki. Zaleca się pilną aktualizację do Pillow 13.0.0.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)